Sommario
Questa settimana il panorama delle minacce è stato dominato da due filoni: da un lato la conferma di zero-day attivamente sfruttate su prodotti Cisco di infrastruttura di rete (SD-WAN e Unified Communications Manager), dall’altro l’aggiornamento operativo su FortiBleed, che porta a circa 74.000 i firewall con credenziali effettivamente esposte. Si è aggiunta una densità di advisory CSIRT Italia rara per un singolo periodo, con vulnerabilità critiche su prodotti ICS, piattaforme AI e software enterprise. La settimana merita attenzione per la concentrazione di exploit attivi sullo stack di rete e comunicazioni.
Le notizie principali
1. CVE-2026-20245, Cisco Catalyst SD-WAN: zero-day sfruttata per creare account root (CVSS 7.8)
Mandiant (Google) ha ricostruito come un attaccante abbia sfruttato una zero-day in Cisco Catalyst SD-WAN Manager per ottenere accesso root sui dispositivi. Attenzione alla catena reale: si tratta di una privilege escalation che richiede già credenziali netadmin. L’accesso iniziale è arrivato tramite rogue peering (probabilmente sfruttando le precedenti auth-bypass CVE-2026-20127 o CVE-2026-20182, oppure certificati rubati da una compromissione precedente); solo a quel punto l’attaccante ha sfruttato CVE-2026-20245 caricando un file CSV malevolo (“evil_tenant.csv”) per manipolare /etc/passwd e /etc/shadow e creare un account root nascosto (“troot”). Durante l’intrusione ha usato tecniche anti-forensi, cancellando e ripristinando i file di configurazione modificati. L’attività risale ad almeno due o tre mesi prima della disclosure pubblica, un lungo periodo di esposizione non rilevato. Patch nelle release fisse (20.9.9.2, 20.12.7.2, 20.15.4.5, 20.15.5.3, 20.18.3.1, 26.1.1.2 o successive).
(Fonte: Mandiant/Google Cloud, BleepingComputer, SecurityWeek, The Hacker News)
2. CVE-2026-20230, Cisco Unified Communications Manager: sfruttamento attivo (CVSS 8.6)
La vulnerabilità SSRF nel servizio WebDialer di Cisco Unified CM è passata dalla teoria alla pratica: nel weekend (21-22 giugno) la threat intelligence di Defused ha osservato i primi tentativi di sfruttamento. La falla permette a un attaccante remoto non autenticato di inviare richieste HTTP crafted, innescare un SSRF, scrivere file sul sistema operativo sottostante ed elevare i privilegi a root. Un dettaglio che riduce molto l’esposizione: la vulnerabilità è sfruttabile solo se il servizio WebDialer è abilitato, e WebDialer è disattivato di default. La patch è disponibile dal 3 giugno, ma la pubblicazione di un write-up tecnico (SSD Secure) il 23 giugno ha accelerato la finestra di sfruttamento. CISA l’ha aggiunta al KEV con deadline al 28 giugno.
(Fonte: Cisco, Defused, Help Net Security, BleepingComputer, SecurityWeek, CISA KEV)
3. FortiBleed: credenziali esposte per circa 74.000 firewall Fortinet
Aggiornamento operativo sulla campagna FortiBleed: il dataset esposto conteneva credenziali valide (amministrative e SSL VPN) per 73.932 dispositivi FortiGate, riconducibili a oltre 21.600 organizzazioni. Non è una vulnerabilità tradizionale ma un’operazione industriale di credential harvesting attiva da febbraio 2026, che ha compromesso complessivamente oltre 430.000 firewall e raccolto più di 110 milioni di credenziali, in gran parte catturate direttamente dal traffico grazie a uno sniffer custom (FortigateSniffer, che abusa del comando diagnostico nativo di FortiOS) e poi crackate offline e riusate. Il numero dei 73.932 rappresenta quindi i dispositivi con credenziali effettivamente verificate come esposte, sottoinsieme di una campagna molto più ampia. Azione immediata per chi ha FortiGate: rotazione delle credenziali, MFA e rimozione dell’esposizione delle interfacce di gestione.
(Fonte: SecurityDiscovery/Diachenko, SOCRadar, Hudson Rock, The Hacker News, Security Affairs, CISA)
4. CISA: 4 nuove KEV più un batch di ICS advisory
Il 23 giugno CISA ha aggiunto al catalogo KEV quattro vulnerabilità attivamente sfruttate, con deadline per le agenzie federali al 26 giugno: CVE-2025-67038 su Lantronix EDS5000 (code injection via parametro username non sanitizzato, esecuzione comandi come root, CVSS 9.8) e tre vulnerabilità su Ubiquiti UniFi OS (CVE-2026-34908, CVE-2026-34909 e CVE-2026-34910), tutte con CVSS 10.0, concatenabili da un attaccante di rete per ottenere RCE non autenticata (sfruttamento confermato, con creazione di account amministrativi rogue). Patch in UniFi OS Server 5.0.8 e firmware Lantronix 2.2.0.0R1. In parallelo, CISA ha pubblicato una serie di ICS advisory (ICSA-26-174-*) su prodotti Siemens, ABB Freelance, B&R e Hubbell Aclara Metrum.
(Fonte: CISA KEV, CISA ICS Advisories, The Hacker News, Security Affairs)
5. Operation Endgame: interrotte le infrastrutture di Amadey e StealC
Microsoft, Europol e partner internazionali hanno interrotto le infrastrutture usate dalle operazioni malware Amadey e StealC (nella stessa azione anche SocGholish), annunciando i risultati il 24 giugno. L’operazione ha smantellato 326 server e 142 domini e recuperato circa 27 milioni di credenziali rubate, con oltre 41 milioni di euro in cripto-asset congelati. Amadey funge da loader per l’accesso iniziale, StealC da infostealer: insieme costituiscono un anello della catena che abilita ransomware, frodi finanziarie e attacchi a infrastrutture critiche.
(Fonte: Europol, Microsoft, BleepingComputer, The Hacker News, Security Affairs)
6. DifyTap: quattro vulnerabilità sulla piattaforma AI Dify
I ricercatori di Zafran Security hanno divulgato quattro vulnerabilità (denominate collettivamente DifyTap) su Dify, piattaforma AI open source con oltre 140.000 stelle su GitHub e più di un milione di applicazioni in produzione. Due sono critiche (CVE-2026-41947, CVSS 9.1, sul sottosistema di tracing; CVE-2026-41948, CVSS 9.4, path traversal nel Plugin Daemon), due sfruttabili senza autenticazione e tre con impatto cross-tenant sul cloud multi-tenant di Dify: un cliente poteva leggere conversazioni AI e documenti di un altro tenant. Tra le organizzazioni che usano Dify figurano Volvo e Maersk. Patch nella versione 1.14.2 (con un fix ulteriore in arrivo per CVE-2026-41948).
(Fonte: Zafran Security, Security Affairs, BleepingComputer)
Ransomware e gang attive
Mistic (KongTuke). Nuovo backdoor osservato in attacchi a scopo di lucro contro organizzazioni nei settori assicurativo, educativo, IT e servizi professionali, collegato all’access broker KongTuke. (Fonte: BleepingComputer)
ClickFix, campagna phishing attiva in Italia. CSIRT Italia segnala campagne che usano l’ingegneria sociale per indurre le vittime a eseguire codice malevolo tramite la funzione “incolla”, sfruttando la copia dalla clipboard per aggirare la consapevolezza dell’utente. (Fonte: CSIRT Italia)
Vulnerabilità rilevanti per il contesto italiano
La concentrazione di advisory CSIRT Italia è il segnale più diretto per il contesto italiano. Tra il 23 e il 24 giugno l’ACN ha diffuso un batch corposo di advisory che ha toccato, tra gli altri, Node.js, Mitel MiCollab e MiVoice, Apache NiFi, Craft CMS, AOMEI, EaseUS Partition Master e PaperCut, seguiti il giorno dopo da Autodesk Fusion, libssh2, Grafana, MISP e IBM WebSphere. Diversi di questi prodotti (Node.js, Grafana, MISP, Mitel, PaperCut) sono comunemente deployati in organizzazioni italiane, e la presenza di alcuni PoC pubblici riduce la finestra di mitigazione.
Per il settore industriale, le ICS advisory di CISA coprono prodotti Siemens, ABB e B&R presenti in impianti italiani. La deadline CISA per le agenzie federali (26 giugno) è già passata, ma per le organizzazioni private la priorità resta alta.
FortiBleed merita attenzione specifica: con oltre 21.600 organizzazioni coinvolte, è plausibile che diverse realtà italiane siano tra le vittime. Verificare la presenza di firewall Fortinet esposti e ruotare le credenziali è un’azione immediata.
Prospettiva
La settimana presenta un pattern interessante: la sovrapposizione di zero-day attive sullo stack di rete enterprise (Cisco SD-WAN e Unified CM) con un batch di advisory CSIRT Italia che copre un’ampia gamma di prodotti. Un periodo di transizione in cui patch non ancora applicate vengono sfruttate attivamente, mentre nuovi advisory si accumulano.
L’aggiornamento operativo su FortiBleed, che circoscrive a circa 74.000 i firewall con credenziali verificate come esposte a fronte di una campagna che ne ha toccati oltre 430.000, dimostra che le operazioni di credential harvesting richiedono tempo per essere comprese nella loro portata reale. Per un SOC significa che la verifica delle patch non basta: serve il monitoraggio delle credenziali compromesse e dei tentativi di accesso anomalo.
La disruption di Amadey e StealC è un segnale positivo, ma la frammentazione delle infrastrutture malware in nuove varianti (come Mistic) indica che la capacità operativa si trasferisce, non scompare. La prossima settimana richiederà attenzione alla eventuale ricostituzione di queste infrastrutture e alla valutazione dell’impatto sulle organizzazioni colpite.
Fonti: Cisco, Mandiant/Google Cloud, F5, Fortinet, Zafran Security, Microsoft, Europol, Defused, SOCRadar, Hudson Rock, SecurityDiscovery, Help Net Security, The Hacker News, BleepingComputer, SecurityWeek, Security Affairs, Dark Reading, CISA, ACN CSIRT Italia